資安趨勢部落格 - 手機病毒/電腦病毒防禦密技,不只守護網路安全,還提供各種實用3C實用小秘訣,由資安/防毒軟體領導品牌趨勢科技 Trend Micro 每日更新

【2018年11月30日台北訊】2018年「台灣最佳國際品牌調查」結果於今日揭曉，全球網路資安解決方案領導廠商趨勢科技（東京證券交易所股票代碼：4704）連續16年入榜，並拿下第二名殊榮，品牌價值持續成長達美金14.95億元！趨勢科技不僅在營運上表現亮眼並持續成長，在專業技術領域上，趨勢科技獲Gartner 於2018年入侵防護系統神奇象限定位為領導者、連續四年榮獲 NSS Labs 推薦奪得NSS Labs 評測100% 入侵偵測率的完美成績，產品 Deep Security 則榮獲 Info Security Products Guide 頒發2017年全球卓越獎 (Global Excellence Awards) 雲端防護類別金牌獎。此外，趨勢科技並持續投入全球公民計畫與資安教育推廣，鼓勵員工貢獻時間、分享所學、愛心回饋以期為社會盡一份心力。

【圖說】趨勢科技榮獲2018年「台灣最佳國際品牌調查」第二名殊榮，由台灣區暨香港區總經理洪偉淦代表受獎。

在全球化市場的激烈競爭下，為鼓勵台灣品牌與國際接軌，經濟部工業局持續與國際知名英國品牌顧問公司 Interbrand 合作舉辦「台灣最佳國際品牌價值調查」，透過量化財務及質化構面分析為台灣企業評估具體品牌價值，標示其在全球市場競爭力的具體座標。過去30年來，趨勢科技從個人電腦、網際網路到雲端運算時代一路創新，從防毒專家進化資安巨人，如今進入人工智慧及物聯網 (AI & IoT) 時代，趨勢科技更持續投入頂尖技術研發，運用AI創新技術推出多層式防護解決方案，從企業營運至消費者個資皆提供完整保護。繼續閱讀

Outlaw駭客集團散播殭屍網路來進行虛擬貨幣挖礦、網路掃描和暴力破解

2018 年 11 月 30 日2020 年 02 月 18 日趨勢科技 TrendMicro

趨勢科技在之前發表過使用IRC殭屍網路的Outlaw駭客集團。而本篇文章將會繼續介紹該集團殭屍網路的主機部分，我們發現它試圖在我們的IoT蜜罐系統上執行腳本。殭屍網路利用工具 – haiduc在網路上找尋目標並用常見的命令注入漏洞來進行攻擊。一旦成功就會在目標系統上執行腳本min.sh（趨勢科技偵測為Coinminer.SH.MALXMR.ATNJ）。

我們這次發現兩個版本的Outlaw變種。第一個版本所用的腳本有兩個功能：挖礦程式和Haiduc工具。挖礦程式也有兩種格式。一種是純文字的bash/Perl腳本，另一種是混淆過的Perl腳本來避免被內容檢測入侵防禦系統（IPS）/防火牆所偵測。

而第二個版本主要是用於暴力破解，並且會進一步攻擊Microsoft遠端桌面協定和雲端管理cPanel來提升權限。而伺服器列表也顯示出漏洞攻擊的意圖，這份列表內的伺服器執行著有已知漏洞的程式庫libc.so.6。

第一個版本變種概述

下載的挖礦程式會用同時可在Linux和Android上執行的程式來挖掘門羅幣。這支挖礦程式會先檢查系統上是否有其他執行中的挖礦程式。如果發現，此腳本就會終止之前挖礦程式並執行自己的程式。這表示這隻殭屍程式可以劫持其他殭屍網路的挖礦活動。要注意的是，有些Mirai變種也具有相同的功能，但跟某些Mirai變種不同的是，這隻殭屍程式不會修補受害者來保護他們避免被再次感染。

開始挖礦後，殭屍網路會檢查程序列表來確認挖礦程式確實在執行中。如果沒有，就會再次下載惡意檔案並重新啟動挖礦程序（包括檢查是否存在其他挖礦程式）。

此過程讓駭客可以從其他攻擊者手上偷走入侵的挖礦主機，並用更新版本的挖礦程式來重新感染主機，能夠在這些攻擊者的XMR錢包被劫持後繼續運作。

一旦開始進行挖礦，挖礦程式就會回報給放有隨機名稱PHP腳本的被入侵網站。

腳本的另一功能負責散播殭屍網路。它所使用的是haiduc，我們之前就注意到它是Outlaw駭客集團主要使用的工具。這支haiduc工具會先暴力攻擊運行SSH服務的有漏洞主機。它所用的列表以PHP腳本形式放在被入侵網站上。一旦暴力破解成功，就會執行擴散殭屍網路的命令。它會安裝被入侵網站所提供的min.sh腳本。接著根據PHP腳本設定來掃描目標，並用電子郵件將結果寄給殭屍網路管理員（寫在其中一個PHP腳本內）。我們在之前的文章中提到此集團會利用IRC bot來形成殭屍網路，但這次是利用PHP來控制殭屍網路。不過挖礦程式和haiduc工具仍來自同一組織。

殭屍網路會從hxxp://www[.]karaibe.us/.foo/min.sh下載惡意shell腳本。奇怪的是，該網域會在原始碼中嵌入Google Analytics腳本，可能是為了讓殭屍網路管理員監控攻擊活動。目前此網域會被導到籃球聯賽積分榜網站。Outlaw駭客集團一直都使用著此項技術，並且很明顯地，透過PHP漏洞攻擊更多網站來取得新的C&C或內容派送伺服器是他們的核心活動之一。繼續閱讀

偏愛假冒宅配公司,超過 30 萬用戶受害的 Android 惡意程式家族:XLoader 和 FakeSpy

2018 年 11 月 29 日2020 年 07 月 07 日趨勢科技 TrendMicro

深入探討 XLoader 與 FakeSpy 之間的關聯以及兩者與中國「延邊幫」犯罪集團之間的關係

XLoader 和 FakeSpy 是最近崛起的兩個最重要的行動惡意程式家族。我們在 2018 年 4 月即探討過 XLoader，該惡意程式會利用 DNS 快取汙染與 DNS 假冒等技巧來讓讓受害者感染惡意 Android 應用程式，進而竊取個人身分識別資訊 (PII) 和金融相關資料，並且安裝額外的應用程式。同時，我們也在 6 月發表過針對 FakeSpy 的研究發現，此惡意程式會經由網路釣魚簡訊 (SMiShing) 來感染 Android(安卓) 裝置，同樣也會竊取使用者資訊。

截至 10 月為止，全球加起來總共約有 384,748 名 XLoader 和 FakeSpy 受害者，主要分布在南韓和日本。

圖 1：今年 XLoader 和 FakeSpy 每月感染數量。 繼續閱讀

起死回生的Emotet銀行木馬程式,在全球建立了721個非重複的 C&C 伺服器

2018 年 11 月 28 日2018 年 12 月 27 日趨勢科技 TrendMicro

曾由趨勢科技在 2014 年所發現的「Emotet」銀行木馬程式，去年已經正起死回生，並推出自家的垃圾郵件模組來散布該程式，開始攻擊一些新的產業和地區，甚至能躲避沙盒模擬與惡意程式分析技巧。今年，我們進一步分析了 Emotet 的活動來了解這個模組化惡意程式的惡意行為。我們針對 Emotet 的相關威脅樣本進行了一番徹底的研究，包括 2018 年 6 月 1 日至 11 月 15 日這段期間所蒐集到的相關威脅樣本：8,528 個非重複網址、5,849 個文件植入程式以及 571 個執行檔，並發現了 Emotet 的幕後基礎架構以及可能的犯罪集團資訊。

》延伸閱讀: 假冒銀行轉帳通知耍詐!!銀行惡意軟體會利用網路監聽來竊取資料

以下是幾項重要的研發現：

至少有兩組並行的基礎架構在背後支撐 Emotet 的殭屍網路
當我們將該惡意程式的幕後操縱 (C&C) 伺服器和 RSA 金鑰進行分類之後就能清出看出兩組不同的基礎架構。此外我們也發現歹徒每個月都換更換一次 RSA 金鑰。而不同基礎架構所推送的下一階段惡意程式在用途和攻擊目標上並無重大差異，因此分開兩組基礎架構的用意應該只是為了讓 Emotet 更不容易被追查，同時也提供容錯備援的能力。
Emotet 的相關樣本可能是經由多個分層負責的不同單位所製作
從活動模式不一致的情況可以看出，負責製作及散布文件植入程式的幕後單位，似乎與負責壓縮及部署 Emotet 執行檔的單位不同。文件植入程式在非上班時間 (UTC 時間凌晨 1:00 至 6:00) 會停止製作。此時很可能有三組不同的電腦正在壓縮及部署 Emotet 的執行檔，其中兩組的系統時區可能分別設定在 UTC +0 以及 UTC +7。
Emotet 惡意程式的作者很可能住在 UTC+10 或者更往東邊一點的時區內
當我們根據每個執行檔樣本所解壓縮出來的惡意程式組譯時間戳記來將這些執行檔分類時，我們可歸納出兩個樣本群組，其組譯時間戳記與惡意程式首次在外發現的時間一致。這原因很可能是組譯時間戳記使用的是惡意程式作者的電腦當地時間。如果這些當地時間正確無誤的話，那就可推論出惡意程式作者很可能住在 UTC +10 或更往東邊一點的時區內。

繼續閱讀